Tittestja bidliet fil-firewall mingħajr ma tissakkar barra
Agħti grad lit-triqat tal-irkupru tiegħek qabel ma tidħol ir-regola, imbagħad ivverifika b'fluss li l-politika l-ġdida jkollha tevalwa, mhux bis-sessjoni li baqgħet ħajja.
Ir-regola tidħol, it-terminal li għandek diġà jkompli jwieġeb, u d-dħul li jmiss jiġi rrifjutat. Din il-lakuna hija d-diffikultà kollha tat-testjar ta' bidla fil-firewall fuq il-konnessjoni li qed tbiddel. It-traċċar tal-konnessjonijiet jiddeċiedi darba u mbagħad jieqaf iħares, għalhekk fluss stabbilit huwa l-unika prova li ma tistax tara l-politika l-ġdida. Dak li ġej iqabbel it-tliet toroq lura, u mbagħad jistabbilixxi l-ordni li fiha għandhom jinbidlu u jiġu ċċekkjati r-regoli.
Għaliex is-sessjoni li baqgħet ħajja hija l-aktar prova dgħajfa
Firewall b'stati jevalwa l-ewwel pakkett ta' fluss u jżomm dik is-sentenza sakemm l-entrata tibqa' ħajja. Ir-regoli miżjuda wara japplikaw għal flussi li jibdew aktar tard, u għalhekk it-tieqa li qed tittajpja fiha tibqa' użabbli filwaqt li kulħadd ieħor jiġi rrifjutat. Dak li titgħallem minnha jiddeskrivi l-politika li kienet fis-seħħ ħarġa qabel. Anki qabda meħuda fuq dak il-fluss turi deċiżjoni li l-magna diġà ħadet.
Ittratta s-sessjoni li taħdem bħala ħruġ ta' emerġenza u mhux bħala kejl. Kull verifika li tiswa għandha tiftaħ fluss ġdid minn sors li r-regola l-ġdida se tevalwa, u l-ewwel verifika għandha tkun dik li l-falliment tagħha jweġġa' l-aktar. Meta dik is-sessjoni tkun l-unika triq tiegħek ġewwa, il-bidla għadha mhix lesta biex issir.
Tliet toroq lura, ordnati skont minn xiex jiddependi kull wieħed
Agħti grad lill-għażliet skont kemm jiddependu fuq il-mezz li qed jiġi ttestjat, għax dak l-ordni hija dik li tintlaħaq meta r-regola turi li hija żbaljata. Konsola li qatt ma tgħaddi mill-firewall hija indipendenti, rollback ipprattikat kważi hekk, u s-sessjoni li hija diġà miftuħa mhix.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Qabel il-bidla, idħol permezz tal-konsola u ppruva li taħdem, għax triq barra l-faxxa li qatt ma użajt hija dijagramma u mhux rikors. Rollback jistħoqqlu postu biss wara prova fuq dik il-pjattaforma, b'dak is-sett ta' regoli, skont il-proċedura approvata minflok improvviżazzjoni fuq magna ħajja. Ikteb il-passi u ħalli lil xi ħadd ieħor jaqrahom lura. Jekk is-sekwenza għandha bżonn il-memorja tiegħek biex titlesta, mhix pjan.
Bidla waħda, imbagħad konnessjoni li trid tiġi evalwata
Issejvja s-sett ta' regoli li qed jaħdem u l-fajl li jippossjedih, imbagħad agħmel editjar wieħed dejjaq. Bidla waħda għal kull test iżżomm ir-riżultat attribwibbli; tnejn f'daqqa jħalluk b'magna li taħdem u l-ebda idea liema editjar għamel ix-xogħol. Fejn il-pjattaforma tista' tanalizza konfigurazzjoni mingħajr ma tgħabbiha, agħmel dan l-ewwel, sabiex żball tat-tajpin jonqos waqt li xejn mhu fil-periklu.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confImbagħad ibda sessjoni ġdida minn sors li r-regola mibdula se taqbel miegħu, waqt li l-konsola għadha mqabbda. Errepetiha darba jekk tirnexxi, għax l-ewwel tentattiv jista' jinżel fuq entrata li t-tabella diġà kellha. Jekk tfalli, għad għandek triq ġewwa u deċiżjoni li titħassar, u dak huwa l-agħar riżultat irħis disponibbli.
Il-kontaturi, l-istat u l-fajl iwieġbu mistoqsijiet differenti
Kull waħda mit-tliet osservazzjonijiet tista' tidher konvinċenti waħedha u tqarraq bik dwar it-tnejn l-oħra. Il-kontaturi juru jekk il-fluss li għadek kemm ħloqtx laħaqx ir-regola li editjajt. It-tabella tal-istat turi liema flussi l-magna temmen li huma diġà stabbiliti, u hekk regola miksura xorta tista' tidher f'saħħitha. Il-fajl issejvjat juri x'se jagħmel il-mezz wara l-qari mill-ġdid li jmiss, u jista' ma jkunx dak li qed jagħmel is-sett ta' regoli li qed jaħdem issa.
ss -tn state establishedAqra l-kontaturi bħala delta u mhux bħala total, għax l-uniku numru li jgħodd huwa dak li ċaqlaq il-fluss tat-test tiegħek. Regola li l-kontatur tagħha qatt ma jiżdied ma taqbilx, kemm tidher tajba fuq il-karta. Ikkonferma wkoll il-każ tar-rifjut: politika li qatt ma rrifjutat xejn qatt ma wriet li tirrifjuta dak li ridt timblokka. Għaddi minn interface waħda f'kull familja li l-varar fil-fatt iġorr, għax regola v4 ma tgħid xejn dwar fluss v6.
Irrestawra mis-sett ta' regoli ssejvjat, imbagħad ġib il-fajl jaqbel
Meta l-bidla tfalli, għabbi s-sett ta' regoli ssejvjat minflok iżżid regoli permissivi sakemm id-dħul jerġa' jaħdem. Kull permess żejjed isikket is-sintomu u jħalli toqba li tgħix aktar mill-inċident u mill-memorja tiegħu. Irrestawra, erġa' qabbad, imbagħad żomm il-paragun fallut ħdejn ir-rekord ta' dak li ppruvajt.
Wara bidla b'suċċess, ġib il-fajl fuq id-diska jiddeskrivi s-sett ta' regoli li qed jaħdem, u kkonferma li qari mill-ġdid jirriproduċih. Sett ta' regoli ħaj li nbiegħed mill-fajl tal-konfigurazzjoni tiegħu stess huwa nassa mqiegħda għall-boot li jmiss.